Précédemment, vous avez lu un article portant sur la croissance de la fraude et les différents types de fraude visant les professionnels. Dans cet article, nous évoquons les mesures de prévention nécessaires et nous penchons sur la mise en œuvre d’une évaluation des risques en plusieurs étapes (appelées « couches »).
Un cadre d’évaluation des risques de fraude est un processus permettant d’identifier les domaines dans lesquels une organisation est vulnérable à la fraude. Le but ? Mettre sur pied des actions concrètes ! La bonne exécution d’une telle analyse vous permet de tenir les fraudeurs éloignés, car vous examinez votre propre organisation en vous mettant à la place d’un fraudeur. Le cadre permet de répondre aux questions suivantes : quelles sont les faiblesses détectées lors de nos contrôles ? Et comment notre organisation peut-elle involontairement aider les fraudeurs à sévir en toute impunité ?
Un cadre efficace comporte plusieurs couches essentielles fondées sur des données. La première porte sur les efforts fournis pour identifier avec précision des tiers ou clients potentiels – qui sont-ils et sont-ils vraiment ce qu'ils déclarent être ? En se basant sur les informations de l’entreprise, existe-t-il des risques ou des écarts possibles ? La deuxième étape concerne la recherche de l’identité numérique liée à ces entités – références électroniques venant appuyer la création d’un profil d’entreprise exhaustif durant des transactions en temps réel. La troisième couche concerne l’évaluation de facteurs opérationnels et financiers.
Lisez aussi : Fraude commerciale : un problème croissant
La première couche : vérification de l’identité
Quand faut-il mettre en place un processus de diligence raisonnable visant à asseoir la légitimité d’une entreprise ? Ce processus repose sur des données – idéalement, des données rigoureusement vérifiées à l’aide de plusieurs sources afin de garantir l’existence de l’entreprise.
Les profils présentant un faible risque se caractérisent par une plus grande cohérence entre ses propres données d’entreprise et les données provenant de tiers fiables. Toute incohérence dans ces données dénote souvent l’existence d’un profil de risque plus élevé et d’un plus grand risque de tentative de fraude. Ces incohérences comprennent des écarts mineurs pouvant être considérés comme « accidentels », mais qui revêtent en réalité un élément intentionnel. Par exemple, un fraudeur est susceptible d’ajouter un « S » ou « Inc. » après un nom d’entreprise légal dans le but de créer un nom d’entreprise « sosie ». Les fraudeurs inventeront, exagéreront ou supprimeront même certaines données afin de véhiculer une meilleure image de leur entreprise. Par exemple, une entreprise peut prétendre avoir été fondée en 2015, alors que des sources d’informations fiables indiquent un lancement de cette entreprise en 2021. Ce faisant, le fraudeur peut amplifier toutes sortes de données, comme le nombre de collaborateurs, le chiffre d’affaires ou le chiffre de ventes. Une entreprise semble dès lors avoir plus de crédibilité qu’elle n’en a.
La recherche de l’adresse d’une entité constitue également une étape essentielle du processus de vérification. Un risque plus élevé est généralement associé aux boîtes postales, adresses résidentielles ou emplacements de bureau virtuels. Toutefois, il est important de faire preuve de précaution lors de la vérification de travailleurs indépendants, parce que bien souvent, ces derniers mentionnent leur adresse résidentielle comme adresse de bureau.
Questions dont il convient de tenir compte durant la première étape :
- De quelles données commerciales disposons-nous à propos de cette entreprise. Sommes-nous en mesure de les vérifier ?
- Les entreprises ne commettent pas de fraude, les individus bien. Pouvons-nous identifier toutes les personnes qui se cachent derrière une entreprise ?
- Les membres de la direction ont-ils déjà été impliqués auprès d’autres entreprises (qui n’existent plus) ?
- Quels produits achètent-ils ? Est-ce logique qu’ils le fassent ?
Deuxième couche : exposition des risques liés à un appareil, une adresse IP ou une adresse e-mail
Des fraudeurs ont tiré parti de la pandémie mondiale de COVID-19 ayant paralysé le monde physique. Les données de Dun & Bradstreet révèlent une hausse de 251 % des vols d’identité professionnelle en 2020 par rapport à 2019. Ce pic se caractérise par une forte corrélation entre les hausses conséquentes du volume de transactions numériques et les cyberattaques. Davantage de données d’identité de consommateurs tombent dans les mains de personnes mal intentionnées, entraînant ainsi une hausse des cas de fraude B2B.
Habituellement, les organisations frauduleuses font usage de diverses adresses IP ou différents hôtes et consultent une longue liste d’utilisateurs volés pour enfreindre la sécurité d’une entreprise. Il convient donc d’évaluer le risque de fraude sur la base de l’adresse e-mail, du nom de domaine, du numéro de téléphone ou de l’adresse de l’appareil ou l’adresse IP utilisées pendant les transactions. La date de création de l’adresse e-mail constitue notamment un indicateur de risque révélateur. Il ressort d’une analyse des données que la fraude avec des adresses e-mails plus récentes est en hausse. Imaginons un exemple où « abcpizza.nl » serait le véritable domaine d’entreprise. Un fraudeur pourrait créer l’adresse « abcpizzainc@pizzaparlor.nl » à la place de « initiales.nomdefamille@abcpizza.nl ». Autre exemple : un fraudeur passe une commande conséquente pour un restaurant. À la place du nom de domaine d’entreprise réel « entrepriseabc.com », le fraudeur utilise un sosie « entrepriseabc.nl ».
Il est également possible d’effectuer des recherches au niveau de l’appareil pour éloigner toute menace. Vous pouvez établir un profil de chaque appareil afin de disposer d’un bon aperçu des appareils utilisés en toute fiabilité. Une évaluation doit alors avoir lieu en cas d’ajout de nouvel appareil. Il est essentiel de tenir compte de facteurs comme l’âge, la rapidité, la réputation et l’adresse IP.
L’utilisation de données en matière de risque pour ce qui concerne les appareils comporte un avantage : l’identifiant de l’appareil est enregistré plutôt que le profil personnel. Si un compte bancaire professionnel a déjà fait l’objet d'un refus pour comportement suspect, et que le fraudeur utilise le même appareil pour demander un autre compte sous un autre nom, l’organisation en sera immédiatement informée, car il est possible de vérifier l’appareil récurrent.
Troisième couche : L’évaluation de facteurs opérationnels et financiers.
Il peut être difficile de séparer le risque de fraude du risque de crédit « ordinaire ». La plus grande différence ? L’intention. Pour un risque de crédit normal, l’élément d’intention est absent. Dans le cas du risque de fraude, le but de l’entreprise est de commettre une fraude. Par exemple, une entreprise peut payer régulièrement à temps et être considérée comme présentant un faible risque de crédit. Mais ensuite, l’entreprise commence à profiter au maximum de sa ligne de crédit et finit par manquer à toutes ses obligations de paiement. Un comportement appelé abus de crédit (ou bust-out). Lorsque des activités comme celles évoquées sont mises au jour, elles entraînent une enquête sur la santé financière de l’entreprise ou du fournisseur ainsi qu’un examen approfondi des transactions.
Questions dont il convient de tenir compte durant la troisième étape :
- L’entreprise fait-elle plus de demandes de crédit que la normale ?
- L’entreprise a-t-elle atteint la limite de sa ligne de crédit ?
- L’entreprise paie-t-elle ses factures à temps ?
- L’entreprise affiche-t-elle une tendance à la hausse ou à la baisse pour ce qui a trait aux principaux paramètres financiers ?
- L’entreprise est-elle déjà en défaut de paiement ou au bord de la faillite ?
La première étape d’un nouveau processus ? La prise de conscience. Les types de fraude les plus récurrents ainsi que les moyens de les prévenir sont passés à la loupe. Les signalements de fraude commerciale étant en forte hausse, le moment est venu d’établir un cadre efficace et d’investir dans des processus de diligence raisonnable et de risque de crédit puissants.
